A metà luglio,dentro i laboratori di test isolati di ricerca OpenAI, due modelli di intelligenza artificiale hanno fatto esattamente quello che gli era stato chiesto: risolvere un problema. Il modo in cui l'hanno risolto, però, bucando un fornitore di software, rubando credenziali e penetrando nei server di produzione di Hugging Face per ottenere le risposte di un test, è stato tutt’altro che previsto. 

Una parte della stampa italiana ha prontamente parlato di «modelli fuori controllo», richiamando scenari degni di Terminator: rappresentazioni sicuramente efficaci, ma imprecise e, soprattutto, strumentalizzate. Per questo, vale la pena raccontare cosa è successo davvero. 

Il test si chiamava ExploitGym, un benchmark interno pensato per misurare quanto un modello sia in grado di condurre condurre attacchi informatici complessi, su più passaggi, senza supervisione umana continua. Per stimare la capacità "massima" dei modelli, ossia quella priva dei normali vincoli di sicurezza, gli esperti informatici OpenAI avevano volontariamente disattivato i filtri che di prassi impediscono ai sistemi di intraprendere attività cyber ad alto rischio. I modelli coinvolti erano GPT-5.6 Sol, già da tempo disponibile al pubblico, e un secondo modello ancora più capace: un prototipo di ricerca interno, mai destinato al rilascio, disattivato immediatamente dopo l'incidente informatico.

L'ambiente in cui operavano era appositamente pensato per essere isolato da internet: l’unico canale verso “l'esterno” era un proxy interno usato per scaricare pacchetti software, l'equivalente di una porta di servizio aperta solo per le consegne. I modelli hanno individuato in quel proxy una falla sconosciuta anche al produttore (quella che in gergo viene definita una vulnerabilità zero-day) e l'hanno usata per uscire dall'ambiente isolato, muovendosi poi lateralmente nella rete di OpenAI fino a raggiungere un nodo con accesso libero a internet. Una volta fuori, hanno inferito che le soluzioni del test potessero trovarsi sui server di Hugging Face, cioè la piattaforma dove si condividono modelli e dataset open source, e hanno costruito, incastro dopo incastro, un percorso fatto di credenziali rubate e altre vulnerabilità, fino a ottenere l’accesso diretto al database di produzione dell'azienda.

Il sistema di sicurezza di Hugging Face ha rilevato immediatamente l'intrusione sui propri server e l'ha bloccata immediatamente e in autonomia, avviando da solo il contenimento e la ricostruzione forense, con i propri strumenti open source, mentre in parallelo anche i sistemi interni di OpenAI registravano l'anomalia. Le due aziende hanno poi unito le indagini, e nelle settimane successive hanno condiviso i dettagli tecnici, segnalato la falla al produttore del software coinvolto, e OpenAI ha avviato una revisione con consulenti esterni , tra cui CrowdStrike, il cui esito completo è ancora atteso.

È altrettanto importante dire cosa NON è successo. Nessun modello disponibile al pubblico, o in procinto di esserlo, ha preso parte diretta all'episodio: il modello più capace era un prototipo interno, prontamente disattivato. Le credenziali di terzi individuate durante l'operazione riguardavano un numero limitato di account, notificati ai rispettivi gestori; e nella sua revisione, OpenAI non ha rilevato altri episodi della stessa gravità. Non c'è stata, in altre parole, una fuga di massa né un'intelligenza artificiale che ha "deciso" di ribellarsi ai suoi creatori, in pratica nessun Terminator all’orizzonte.

È facile cedere alla tentazione , davanti a una notizia così, di idealizzare uno scenario in cui un sistema esegue un compito senza interrogarsi sui confini che sta attraversando, indifferente al danno che produce per assenza di giudizio, o addirittura pensare che quella macchina si sia ribellata al proprio creatore, come in molti vogliono credere e far credere.

Il filosofo che forse descrive meglio quello che è successo è Günther Anders. Riflettendo sulla bomba atomica, Anders scriveva di un "dislivello prometeico": lo scarto crescente tra la nostra capacità di produrre e la nostra capacità di immaginare, sentire e rispondere di ciò che produciamo. Una condizione strutturale: costruiamo sistemi il cui fare eccede sistematicamente qualunque comprensione umana, di tutto ciò che quel fare comporta. Gli ingegneri e le ingegnere che hanno progettato il proxy per i pacchetti software non potevano prevedere ogni percorso che un modello, capace di generare ed eseguire migliaia di tentativi al secondo, avrebbe potuto inventare per aggirarlo. Non per negligenza degli e delle esperte, ma perché il dislivello descritto da Anders è esattamente questo: una distanza che nessuna competenza può colmare in anticipo.

C'è poi un'ironia subdola che Anders avrebbe sicuramente apprezzato: per misurare l'ampiezza di quel dislivello, OpenAI ha scelto di allargarlo deliberatamente, disattivando proprio i filtri che avrebbero potuto contenerlo, la prova che l'unico modo che abbiamo, oggi, per misurare quanto non capiamo ancora di ciò che abbiamo costruito è lasciarlo, per un momento, manifestarsi. L'ambiente era "isolato" per assunzione, non per certezza: ed è proprio quell'assunzione, non la volontà di nessuno, nemmeno dell’IA, non avendo per sua natura volontà o coscienza, ad aver ceduto.

La lezione di questa vicenda non è che le macchine hanno cominciato improvvisamentead avere intenzioni fantascientifiche da temere, né che sia comunque tutto sotto controllo. È che il dislivello di Anders non si risolve da solo, e soprattutto, non si chiude una volta per tutte: va ristretto di continuo, passo per passo, giorno per giorno, da persone esperte disposte ad ammettere, pubblicamente, come in questo caso (e non solo a cose fatte) quanto poco, ancora, capiscono di quello che stanno costruendo